Gli agenti di intelligenza artificiale stanno diventando una nuova categoria di utenti dei sistemi informativi aziendali e non manca chi li guarda come se fossero veri e propri dipendenti. Possono accedere a documenti, interrogare database, lanciare e usare applicazioni, eseguire codice e prendere decisioni, ma, agiscono a velocità molto più elevate dei dipendenti e con comportamenti che non sono sempre prevedibili.
Microsoft definisce questa nuova categoria di rischio agentic insider: un agente AI che dispone di accessi legittimi ai sistemi aziendali, ma può commettere errori, essere compromesso o venire manipolato tramite prompt injection. Per affrontare il problema, l’azienda ha annunciato un'estensione di Project Perception, la propria architettura di sicurezza per l'AI agentica, introducendo nuove capacità di discovery, gestione delle identità, controllo dinamico dei privilegi e contenimento automatico delle attività pericolose.
Il principio alla base del sistema è quello di separare l'intelligenza del modello dall'autorità di compiere operazioni: l'agente può decidere come svolgere un compito, ma non deve potersi assegnare le autorizzazioni necessarie a procedere, restando in un recinto ben definito.
Discovery estesa: Microsoft riconosce 60 tipologie di agenti locali e ne definisce l’identità
La prima novità importante riguarda la capacità di individuare gli agenti AI presenti nell'infrastruttura aziendale anche quando questi non sono stati distribuiti attraverso piattaforme Microsoft. La società ha annunciato il supporto per 35 ulteriori tipi di agenti locali, portando a 60 il numero complessivamente riconoscibile. Tra i nomi supportati figurano Claude Code, OpenAI Codex e GitHub Copilot. Gli agenti vengono identificati tramite integrazioni native, connettori e sensori di sicurezza e possono essere inseriti in un registro unificato che permette ai responsabili IT di conoscere quali strumenti sono attivi, chi ne è responsabile, quali attività svolgono e quali rischi comportano. In questo modo si cerca di contenere quello che viene chiamato agent sprawling, cioè la proliferazione di agenti sviluppati o installati dai diversi reparti senza un processo centralizzato di controllo.
Una seconda innovazione riguarda Microsoft Entra Agent ID che viene esteso per gestire ulteriori categorie di agenti, compresi quelli eseguiti localmente e quelli inizialmente sconosciuti ai sistemi di gestione delle identità, in modo da attribuire ad ogni agente un'identità autonoma, distinta da quella del dipendente che lo utilizza o ne ha richiesto l'attivazione. Questa distinzione permette di associare all'agente un responsabile, definire autorizzazioni specifiche, applicare criteri di sicurezza e ricostruire le attività svolte. L'identità diventa quindi il riferimento attraverso il quale gestire il ciclo di vita dell'agente, le autorizzazioni, le responsabilità e le regole di accesso, anche quando il software non era stato originariamente integrato con gli strumenti di sicurezza Microsoft.
Dynamic Permissions: privilegi limitati al singolo compito
La terza novità è forse la più importante tra quelle viste negli annunci e riguarda Dynamic Permissions, un sistema che applica agli agenti AI il principio del privilegio minimo in maniera dinamica. Il modello tradizionale prevede che un utente o un'applicazione disponga di un insieme di autorizzazioni relativamente stabile. Microsoft propone invece di assegnare agli agenti soltanto i permessi necessari per eseguire uno specifico compito e soltanto per il tempo richiesto.
Un agente non eredita quindi automaticamente tutte le autorizzazioni del dipendente per conto del quale opera. Parte senza privilegi e riceve progressivamente quelli indispensabili, nel rispetto dei limiti stabiliti dalle policy aziendali. Per esempio, un agente incaricato di gestire le note spese potrebbe ottenere il permesso di leggere le richieste di rimborso, consultare le regole aziendali e approvare determinate operazioni. Non dovrebbe però poter accedere indiscriminatamente a tutti i documenti finanziari disponibili al dipendente che lo utilizza.
Le autorizzazioni possono essere revocate o ridotte quando il compito cambia o viene completato. Per le operazioni più delicate può inoltre essere richiesta un'approvazione umana verificabile, anche se questa è una funzione a cui ricorrere con parsimonia per non creare colli di bottiglia. L’importante, però, è legare le autorizzazioni al contesto operativo, anziché alla sola identità dell'utente.
Dynamic Agent Risk valuta continuamente il rischio di ogni agente
Con Dynamic Agent Risk, Microsoft introduce un meccanismo di valutazione continua del rischio associato agli agenti AI. Il sistema raccoglie segnali provenienti dai diversi livelli dell'infrastruttura di sicurezza, tra cui Microsoft Sentinel, Entra, Intune, Purview, Global Secure Access e Defender e avvia un'analisi partendo dalla configurazione dell'agente, dalle risorse alle quali può accedere, dal possibile impatto delle sue azioni e soprattutto l'eventuale scostamento tra il comportamento osservato e il compito originariamente assegnato. Non si attribuisce, quindi, il rischio al momento dell'attivazione ma si rivaluta continuamente mentre l'agente lavora, tenendo conto dei cambiamenti nel contesto e nelle attività eseguite.
Un agente potrebbe, per esempio, iniziare correttamente un processo di approvazione delle spese e successivamente incontrare un documento contenente istruzioni malevole. Se il documento lo induce a tentare un'operazione estranea al suo incarico, Dynamic Agent Risk può rilevare la deviazione e modificare la valutazione del rischio. La capacità del sistema di riconoscere queste anomalie è particolarmente importante perché gli agenti possono concatenare numerose operazioni in pochi secondi, rendendo insufficienti i tradizionali tempi di analisi e intervento manuale.
La valutazione del rischio, poi, viene collegata a una seconda nuova funzionalità, Dynamic Conditional Access, che estende agli agenti AI le capacità di controllo degli accessi condizionali di Microsoft Entra. Il sistema consente di modificare automaticamente i privilegi e le possibilità operative di un agente quando il suo livello di rischio cambia.
La risposta a un’anomalia, infatti, non deve necessariamente consistere nel blocco completo dell'agente. Anzi, Microsoft consiglia un contenimento progressivo, calibrato sulla gravità della situazione. Per esempio, un agente che manifesta comportamenti sospetti potrebbe continuare a leggere determinati documenti, ma perdere la possibilità di modificarli. In altri casi, il sistema può restringere le risorse raggiungibili, limitare le connessioni di rete, abbreviare la durata delle autorizzazioni oppure richiedere l'intervento di un responsabile umano prima di eseguire un'operazione sensibile.
Nei casi più gravi, Dynamic Conditional Access può arrivare all'isolamento dell'ambiente di esecuzione o all'interruzione completa dell'agente per contenere tempestivamente un comportamento potenzialmente pericoloso senza compromettere inutilmente le attività legittime dell'utente.
Guardian Agents: agenti AI che controllano altri agenti
Infine, per gestire ambienti nei quali possono operare migliaia o centinaia di migliaia di agenti, Microsoft introduce Guardian Agents e nuovi Playbook all'interno di Project Perception. I primi sono agenti specializzati nella sicurezza che possono analizzare le variazioni del rischio, esaminare le prove disponibili, proporre contromisure e applicare azioni di contenimento secondo le regole definite in azienda. I Playbook, invece, stabiliscono gli obiettivi di sicurezza e coordinano gli interventi, mentre i Guardian Agents eseguono le attività operative adattandole al contesto.
Il sistema è pensato per automatizzare attività che diventerebbero difficilmente gestibili attraverso un Security Operations Center tradizionale, soprattutto quando gli agenti aziendali operano senza soste ed eseguono migliaia di operazioni in tempi brevissimi. Le decisioni strategiche e i limiti delle deleghe rimangono sotto il controllo umano, mentre agli agenti di sicurezza vengono affidati monitoraggio, analisi e interventi consentiti dalle policy.
Per gli scettici, tra cu noi, Microsoft dichiara di usare già internamente un ambiente con centinaia di migliaia di agenti e di aver sfruttato proprio l’esperienza maturata in casa per sviluppare le nuove funzionalità.
Ambienti isolati e controlli sulle chiamate agli strumenti
La nuova architettura prevede anche controlli sull'ambiente nel quale gli agenti vengono eseguiti. Microsoft consiglia d’usare sandbox come Microsoft Execution Container (MXC) per separare il modello e il software che ne coordina l'esecuzione dalle risorse del dispositivo.
In questo modo, l'agente può sfruttare soltanto le risorse previste dalle policy e non ha facoltà di modificare o disabilitare i meccanismi che ne controllano il comportamento.
La protezione si estende inoltre alle interazioni con API, strumenti esterni, server Model Context Protocol (MCP), risorse di rete e altri agenti.